开源 Web 防火墙新选择：SafeLine（雷池）全方位防护方案，守护服务器与 NAS 安全
开源Web防火墙新选择：SafeLine（雷池）全方位防护方案，守护服务器与NAS安全
无论是企业的内网系统，还是家庭中的NAS设备、个人服务器，一旦需要接入公网提供服务或方便远程访问，就如同将重要资产暴露在复杂的网络环境中，面临着诸多安全威胁。SQL注入、XSS攻击、暴力破解、DoS攻击等各类网络攻击手段层出不穷，轻则导致服务短暂瘫痪，影响正常使用，重则造成数据泄露、财产损失，甚至让设备沦为黑客攻击其他目标的跳板。
为应对这些安全风险，Web应用防火墙（WAF）成为了关键的防护屏障。而在众多WAF产品中，SafeLine（雷池）作为一款开源的Web应用防火墙，凭借其强大的防护能力、丰富的功能特性和广泛的实践应用，逐渐成为众多用户守护Web应用安全的优选。接下来，我们将从多个维度全面介绍SafeLine（雷池），带大家深入了解这款开源WAF如何为服务器、NAS等设备筑起坚固的安全防线。
一、SafeLine（雷池）核心定位与防护原理
SafeLine（雷池）是一款专为Web应用打造的自托管Web应用防火墙，其核心定位是为各类Web应用提供全方位、高可靠的安全防护，避免Web应用遭受恶意攻击和漏洞利用带来的损失。
从防护原理来看，SafeLine（雷池）采用反向代理架构，部署在Web应用前方，相当于在Web应用与互联网之间建立了一道“安全闸门”。当互联网中的HTTP/S请求需要访问Web应用时，所有请求会首先经过SafeLine（雷池）。SafeLine（雷池）会依据预设的一系列安全策略，对这些请求进行实时过滤、监控和分析。对于符合安全规则的正常请求，会顺利转发至后端的Web应用，确保服务正常运行；而一旦检测到包含恶意代码、攻击行为的请求，如SQL注入语句、XSS脚本等，会立即对其进行阻断，防止恶意流量到达Web应用，同时记录相关攻击日志，方便用户后续查看和分析。
经过长期的实践检验，SafeLine（雷池）已在全球范围内获得广泛应用。目前，其安装次数已超过18万次，为超过100万个网站提供安全防护服务，每天能够处理的HTTP请求量高达300亿次，充分证明了其在生产环境中的稳定性和可靠性，无论是个人小型Web应用，还是企业级的大型网站，都能依靠SafeLine（雷池）获得有效的安全保障。
二、SafeLine（雷池）关键功能特性解析
SafeLine（雷池）之所以能在众多WAF产品中脱颖而出，关键在于其拥有丰富且实用的功能特性，能够应对多种网络安全场景，为Web应用提供多维度的安全防护。
（一）全面的Web攻击阻断能力
Web应用面临的最直接威胁就是各类针对性的Web攻击，SafeLine（雷池）在这一领域具备强大的防护能力，能够有效防御多种常见的Web攻击类型。
对于SQL注入攻击，它能精准识别请求中包含的SQL注入语句，无论是简单的单引号注入，还是复杂的联合查询注入、堆叠查询注入等，都能通过语义分析和规则匹配及时发现并阻断，防止攻击者利用SQL注入漏洞获取数据库中的敏感数据，如用户账号密码、业务数据等。
在XSS（跨站脚本）攻击防护方面，SafeLine（雷池）可以检测出请求中潜藏的XSS脚本，包括存储型XSS、反射型XSS和DOM型XSS等不同类型的攻击。即使攻击者通过巧妙的方式对XSS脚本进行编码或变形，其智能检测机制也能有效识别，避免脚本在用户浏览器中执行，保护用户数据安全和网站声誉。
此外，针对代码注入、命令注入、CRLF注入、ldap注入、xpath注入、RCE（远程代码执行）、XXE（XML外部实体注入）、SSRF（服务器端请求伪造）、路径遍历、后门攻击等多种攻击方式，SafeLine（雷池）都有对应的防护策略，通过对请求内容、参数、路径等多方面的检测，构建起Web应用的第一道坚固防线，让黑客的攻击企图难以得逞。
（二）灵活的速率限制机制
除了直接的Web攻击，流量滥用行为也会对Web应用的稳定运行造成严重影响，例如DoS（拒绝服务）攻击、暴力破解尝试以及突发的流量激增等。SafeLine（雷池）的速率限制功能正是为应对这类问题而设计。
用户可以根据Web应用的实际承载能力和正常访问流量情况，自定义设置流量阈值。当某一来源（如特定IP地址、特定用户）的请求频率超过设定的阈值时，SafeLine（雷池）会自动触发速率限制策略。对于DoS攻击，其通常会通过大量伪造请求占用服务器资源，导致正常用户无法访问，速率限制功能能有效限制这类异常请求的数量，保障服务器资源不被过度占用；在暴力破解场景中，攻击者会通过不断尝试不同的账号密码组合来获取登录权限，速率限制可以限制同一IP在单位时间内的登录请求次数，大大增加暴力破解的难度；而当遇到活动推广、突发热点等导致的流量激增时，速率限制能避免流量瞬间超过服务器承载上限，防止服务崩溃，保障Web应用的稳定可用。
（三）智能的反机器人挑战
随着自动化技术的发展，各类爬虫、恶意机器人程序对Web应用的威胁日益加剧。它们可能会大量爬取网站内容，导致服务器带宽和资源浪费；也可能模拟用户行为进行恶意操作，如抢购商品、刷取数据等。SafeLine（雷池）的反机器人挑战机制能够有效区分正常用户和机器人程序，在不影响正常用户访问体验的前提下，拦截恶意机器人。
该机制采用了多种智能检测技术，例如通过分析用户的访问行为特征，如鼠标移动轨迹、点击频率、页面停留时间等，判断访问者是否为真实人类；同时，还会对客户端环境进行检测，识别是否为自动化程序模拟的浏览器环境。对于正常用户而言，访问过程不会有任何额外阻碍，能够顺畅地浏览和使用Web应用；而对于爬虫、机器人程序，由于其行为特征和客户端环境与正常用户存在明显差异，会被SafeLine（雷池）准确识别并拦截，从而保护Web应用的资源不被滥用，维护正常的业务秩序。
（四）严格的身份验证挑战
为进一步提升Web应用的访问安全性，特别是对于一些包含敏感信息、仅允许特定人员访问的Web应用，SafeLine（雷池）提供了身份验证挑战功能。当用户开启该功能后，所有试图访问Web应用的访客都必须先完成身份验证，输入正确的密码才能进入应用界面，否则将被直接阻止访问。
身份验证挑战功能支持多种灵活的配置方式，用户可以根据实际需求选择合适的认证方式。除了基础的账号密码认证外，还支持二步验证（TOTP），通过结合动态验证码的方式，大大提高了身份认证的安全性，即使账号密码不慎泄露，攻击者也难以通过二步验证环节。此外，用户还可以配置第三方登录方式，如对接企业内部的统一认证系统，实现更便捷、更安全的身份管理。通过身份验证挑战，能够有效防止未授权人员访问Web应用，确保敏感信息不被泄露，保障Web应用的专属访问权限。
（五）动态的代码防护机制
Web应用的代码漏洞是黑客攻击的重要目标之一，一旦攻击者发现并利用代码漏洞，可能会获取服务器控制权、篡改网站内容等。SafeLine（雷池）的动态防护功能通过对Web服务器中的HTML和JS代码进行动态加密处理，有效提高了攻击者利用代码漏洞的难度。
在开启动态防护后，每次有用户访问Web应用时，SafeLine（雷池）都会对后端返回的HTML和JS代码进行实时加密，生成独一无二的加密代码并传输给客户端浏览器。客户端浏览器在接收到加密代码后，会通过特定的解密机制将其还原为可正常执行的代码，确保用户能够正常浏览和使用Web应用。由于每次访问的代码加密结果都不同，攻击者难以通过静态分析获取代码的原始结构和逻辑，无法轻易找到代码漏洞并进行利用。即使攻击者对某次访问的加密代码进行破解，其结果也仅适用于该次访问，无法复用于其他访问请求，从而极大地增强了Web应用代码的安全性，降低了代码漏洞被利用的风险。
三、SafeLine（雷池）多种安装部署方式详解
为满足不同用户的技术背景和部署环境需求，SafeLine（雷池）提供了多种便捷的安装部署方式，无论是对Linux系统熟悉的用户，还是习惯使用Docker容器技术的用户，都能轻松完成安装部署。
（一）Linux系统自动安装
对于熟悉Linux系统命令操作的用户，SafeLine（雷池）提供了一键自动安装脚本，整个安装过程无需复杂的配置，只需在Linux服务器上执行以下命令，即可启动自动安装流程：
bash -c "$(curl -fsSLk https://waf-ce.chaitin.cn/release/latest/manager.sh)"
执行命令后，系统会自动下载SafeLine（雷池）的相关安装文件和依赖组件，并按照预设的配置完成安装和初始化。在安装过程中，用户无需进行额外操作，只需等待安装程序执行完成即可。安装完成后，SafeLine（雷池）会自动启动相关服务，用户可以直接通过浏览器访问管理界面，开始进行安全策略配置和管理。这种安装方式操作简单、高效，非常适合希望快速部署SafeLine（雷池）的用户。
（二）Docker容器安装
Docker作为一种流行的容器化技术，具有环境隔离、部署便捷、可移植性强等优点，SafeLine（雷池）也支持通过Docker进行安装部署。具体步骤如下：
-
创建安装目录：首先，在服务器上创建用于存放SafeLine（雷池）相关文件的目录，建议选择存储空间充足、访问便捷的路径。执行以下命令创建目录：
mkdir -p /data/safeline该命令会在
/data目录下创建safeline子目录，后续SafeLine（雷池）的配置文件、数据文件等都将存储在该目录中。 -
下载docker-compose.yml文件：进入刚刚创建的
safeline目录，通过wget命令下载SafeLine（雷池）的docker-compose.yml文件，该文件包含了Docker容器的部署配置信息。执行命令如下：cd /data/safeline wget https://waf-ce.chaitin.cn/release/latest/compose.yaml执行命令后，系统会从指定的链接下载
compose.yaml文件（部分环境中可能文件名为docker-compose.yml，功能一致）到当前目录。 -
配置环境变量：在
safeline目录下创建.env文件，用于配置SafeLine（雷池）运行所需的环境变量。执行以下命令创建文件：cd /data/safeline touch .env然后，使用文本编辑器（如
vi、nano等）打开.env文件，添加以下配置内容：SAFELINE_DIR=/data/safeline IMAGE_TAG=latest MGT_PORT=9443 POSTGRES_PASSWORD=yourpassword # 自定义密码，需使用数字+英文大小写组合，勿使用特殊字符 SUBNET_PREFIX=172.22.222 # 可根据实际网络环境修改子网前缀 IMAGE_PREFIX=swr.cn-east-3.myhuaweicloud.com/chaitin-safeline ARCH_SUFFIX= RELEASE= REGION=在配置过程中，需要注意以下几点：
POSTGRES_PASSWORD：用于设置PostgreSQL数据库的密码，数据库是SafeLine（雷池）存储配置信息、日志数据等的重要组件，密码需设置为数字与英文大小写的组合，避免使用特殊字符，以确保数据库安全和正常连接。ARCH_SUFFIX：如果服务器的CPU架构为ARM架构，需要将ARCH_SUFFIX=修改为ARCH_SUFFIX=-arm，以适配ARM架构的Docker镜像；若为X86架构，则无需修改。RELEASE：若需要安装LTS（长期支持）版本的SafeLine（雷池），需将RELEASE=修改为RELEASE=-lts，默认安装最新的稳定版本。
-
启动Docker容器：完成上述配置后，在
safeline目录下执行以下命令，启动SafeLine（雷池）的Docker容器：cd /data/safeline docker compose up -d该命令会根据
docker-compose.yml和.env文件的配置，拉取所需的Docker镜像，并创建和启动相关的容器服务。启动过程中，终端会显示各容器的启动状态，当所有容器都显示“Started”时，表明SafeLine（雷池）已成功启动。 -
获取初始管理员密码：容器启动成功后，需要获取初始的管理员账号和密码，用于登录SafeLine（雷池）的管理界面。执行以下命令：
docker exec safeline-mgt resetadmin执行命令后，终端会输出初始用户名（通常为
admin）和初始密码，例如：[INF0] Initial username: admin [INF0] Initial password: VoHbAVqE [INF0] Done用户需要妥善保存初始密码，首次登录管理界面后，建议及时修改密码，以保障管理账号的安全。
四、SafeLine（雷池）实战操作指南
完成SafeLine（雷池）的安装部署后，接下来需要通过实际操作配置防护策略，让其真正发挥防护作用。下面将以防护Jellyfin媒体服务器为例，详细介绍SafeLine（雷池）的实战操作流程，包括管理界面登录、防护应用配置、访问验证、统计分析以及各项防护功能的使用等。
（一）管理界面登录
-
访问登录页面：在浏览器地址栏中输入
https://[服务器IP]:9443，其中[服务器IP]为部署SafeLine（雷池）的服务器的IP地址，9443为默认的管理端口（在.env文件中通过MGT_PORT配置）。例如，若服务器IP为192.168.66.20，则访问地址为https://192.168.66.20:9443。
由于SafeLine（雷池）默认使用自签名证书，浏览器可能会提示“不安全”，这属于正常现象，用户只需选择继续访问即可。 -
同意许可协议：首次访问时，会进入“长亭雷池WAF授权许可协议”页面，用户需要仔细阅读协议内容，确认无误后点击“同意，开始使用”，进入登录界面。
-
输入账号密码登录：在登录界面中，输入之前获取的初始用户名（
admin）和初始密码，点击“登录”按钮。登录成功后，将进入SafeLine（雷池）的管理界面，管理界面包含统计报表、防护应用、攻击防护、黑白名单、CC防护、人机验证、身份认证、通用设置等功能模块，用户可以在各个模块中进行相应的配置和管理操作。
（二）防护应用配置
防护应用配置是SafeLine（雷池）的核心操作之一，通过配置防护应用，将需要保护的Web应用纳入SafeLine（雷池）的防护范围，实现对Web应用的流量过滤和安全防护。下面以防护Jellyfin媒体服务器为例，详细介绍配置步骤：
-
明确应用地址信息：在配置前，需要明确Jellyfin服务器的地址和计划通过SafeLine（雷池）代理的地址。假设：
- SafeLine（雷池）服务器的代理地址为
192.168.66.20:3333（即用户通过该地址访问Jellyfin）； - Jellyfin服务器的实际地址为
192.168.66.4:8096（SafeLine（雷池）将请求转发至该地址）。
- SafeLine（雷池）服务器的代理地址为
-
进入防护应用配置界面：在SafeLine（雷池）管理界面左侧的功能菜单中，点击“防护应用”选项，进入防护应用管理页面。该页面会显示已配置的防护应用列表，首次使用时列表为空，点击“添加应用”按钮，进入添加应用配置界面。
-
配置应用基本信息：
- 域名：在“域名”输入框中，可以输入具体的域名（如
jellyfin.example.com），若不需要绑定特定域名，也可以选择“通配所有域名”，表示该防护应用对所有访问该代理端口的域名都生效。 - 端口：在“端口”输入框中，输入SafeLine（雷池）的代理端口，此处为
3333。 - 协议：根据实际情况选择HTTP或HTTPS协议。若Jellyfin服务器未配置HTTPS，或希望通过HTTP协议访问，则选择“HTTP”；若需要使用HTTPS协议，需提前准备好SSL证书并在后续步骤中配置。本示例中Jellyfin未配置HTTPS，因此选择“HTTP”，并删除“HTTPS”选项。
- 域名：在“域名”输入框中，可以输入具体的域名（如
-
配置上游服务器：在“代理到已有应用”选项下，选择“上游服务器”，并在输入框中填写Jellyfin服务器的实际地址，即
http://192.168.66.4:8096。该配置表示SafeLine（雷池）会将所有访问192.168.66.20:3333的请求，转发至http://192.168.66.4:8096的Jellyfin服务器。 -
设置应用名称：在“应用名称”输入框中，输入便于识别的应用名称，如“Jellyfin媒体服务”，方便后续在管理界面中快速识别和管理该防护应用。
-
提交配置：完成上述配置后，点击“提交”按钮，系统会保存配置信息，并将该应用添加到防护应用列表中。此时，在防护应用列表中可以看到刚刚添加的“Jellyfin媒体服务”应用，显示其域名、端口、防护模式等信息，表明防护应用配置成功。
（三）通过代理访问应用验证
防护应用配置完成后，需要验证通过SafeLine（雷池）的代理地址是否能够正常访问Jellyfin媒体服务器，以确认代理配置是否生效。
在浏览器地址栏中输入SafeLine（雷池）的代理地址http://192.168.66.20:3333（即之前配置的代理地址），若配置正确，浏览器会跳转到Jellyfin的登录界面或首页，用户可以正常浏览Jellyfin中的媒体内容、进行播放操作等，与直接访问Jellyfin服务器的实际地址（192.168.66.4:8096）体验一致。
这表明SafeLine（雷池）已成功实现对Jellyfin应用的代理，所有访问Jellyfin的请求都将经过SafeLine（雷池）的过滤和防护，后续若有恶意请求，将被SafeLine（雷池）拦截，保护Jellyfin服务器的安全。
（四）统计报表功能使用
SafeLine（雷池）的统计报表功能能够实时展示Web应用的流量情况、攻击防护效果等关键数据，帮助用户直观了解Web应用的运行状态和安全态势，为安全策略的调整提供数据支持。
在管理界面左侧菜单中点击“统计报表”选项，进入统计报表页面。该页面包含“流量分析”“安全态势”“防护报告”“防护大屏”四个子模块，用户可以根据需求选择查看不同模块的数据。
-
流量分析：主要展示Web应用的访问流量相关数据，包括近24小时的防护应用请求次数、访问次数（PV）、独立访客（UV）、独立IP数量、实时QPS（每秒请求数）等。通过这些数据，用户可以了解Web应用的访问热度、用户分布情况，判断是否存在异常流量。例如，若某一时间段内独立IP数量和请求次数突然大幅增加，可能存在流量攻击或爬虫滥用的情况，需要进一步查看是否有攻击记录。
-
安全态势：展示Web应用面临的安全威胁情况，包括攻击IP数量、拦截次数、攻击类型分布等。用户可以清晰看到有多少个IP对Web应用发起了攻击，以及这些攻击主要属于哪种类型（如SQL注入、XSS等），了解Web应用面临的主要安全威胁，针对性地加强防护策略。
-
防护报告：提供更详细的防护数据报告，包括每日、每周、每月的防护统计数据，如拦截次数趋势、攻击IP来源地域分布、Top攻击IP等。用户可以通过防护报告回顾一段时间内的防护效果，分析攻击规律，为长期的安全防护规划提供参考。
-
防护大屏：以可视化的方式展示Web应用的整体防护情况，包括全球访问IP分布地图、实时请求和拦截数量动态展示、Top应用访问排名等。防护大屏数据直观、醒目，适合用于实时监控Web应用的安全状态，快速发现异常情况。
例如，在通过代理访问Jellyfin应用一段时间后，统计报表中会显示该应用的请求次数为121次、独立访客2人、独立IP 2个、拦截次数0次（在无攻击情况下），实时QPS峰值达到121等数据，清晰反映出Jellyfin应用的访问和防护情况。
（五）CC防护功能配置与验证
CC（Challenge Collapsar）攻击是一种常见的DDoS攻击方式，攻击者通过发送大量看似合法的请求，消耗服务器的CPU、内存、带宽等资源，导致服务器无法正常响应正常用户的请求。SafeLine（雷池）的CC防护功能通过限制请求频率、拦截异常请求等方式，有效抵御CC攻击，保障Web应用的稳定运行。
1. CC防护功能配置
在管理界面左侧菜单中点击“CC防护”选项，进入CC防护配置页面，该页面包含“频率限制”“等候室”两个主要功能模块。
-
频率限制：通过设置不同的频率限制规则，限制异常请求的频率，包括高频访问限制、高频攻击限制、高频错误限制等。
- 高频访问限制：针对单位时间内请求次数过多的情况进行限制。点击“高频访问限制”下的“编辑”按钮，可以设置触发条件和处理动作。例如，设置“某IP在10秒内请求达到100次，60分钟内再次访问需要进行人机验证”，当某一IP在10秒内的请求次数超过100次时，SafeLine（雷池）会要求该IP在后续60分钟内的访问都需要完成人机验证才能继续，有效防止恶意IP通过大量请求占用资源。
- 高频攻击限制：针对单位时间内触发攻击拦截次数过多的IP进行限制。编辑规则时，可设置“某IP在60秒内触发攻击拦截次数达到10次，自动封禁此IP 30分钟”，当IP频繁发起攻击并被拦截时，会被自动封禁一段时间，阻止其继续发起攻击。
- 高频错误限制：针对单位时间内触发403（禁止访问）、404（页面不存在）等错误状态码次数过多的IP进行限制。例如，设置“某IP在10秒内触发403、404错误达到10次，自动封禁此IP 30分钟”，避免IP通过不断访问不存在的页面或尝试访问无权限资源消耗服务器资源。
-
等候室：在流量高峰期，当请求量超过Web应用的承载能力时，SafeLine（雷池）会自动将过量的请求引导至等候室，让用户在等候室中排队等待，待服务器资源空闲后再依次处理请求。通过等候室功能，可以避免服务器因瞬间流量过大而崩溃，保障服务的稳定性和可用性。用户可以在等候室模块中查看当前等待人数、峰值等待人数、平均等待时间、跳出率等数据，了解流量高峰时段的服务处理情况。
2. CC防护功能验证
为验证CC防护功能是否生效，我们可以模拟高频访问场景。例如，将高频访问限制规则调整为“某IP在10秒内请求达到1次，60分钟内再次访问需要进行人机验证”（仅用于测试，实际配置需根据正常流量情况设置合理阈值），然后通过该IP频繁访问Jellyfin的代理地址。
访问几次后，在CC防护的“频率限制”模块中，可以看到拦截记录：源IP为192.168.66.165（模拟攻击的IP）、应用为“Jellyfin媒体服务”、原因是“10秒内访问了1次，命中基础访问限制”、处理动作为“强制人机验证60分钟”。此时，再通过该IP访问代理地址，会弹出人机验证界面，只有完成验证才能继续访问，表明CC防护的频率限制功能已成功生效。
在流量高峰时段，若请求量超过设定阈值，等候室功能也会被触发。在“等候室”模块中，可以看到应用的总等待人数、峰值等待人数、平均等待时间等数据，例如“总等待人数10人、峰值等待人数15人、平均等待时间30秒”，说明等候室已开始引导过量请求排队，保障了服务器的稳定运行。
（六）黑白名单配置与管理
黑白名单是SafeLine（雷池）中用于精确控制访问权限的重要功能，通过配置白名单，可以允许特定来源的请求不受限制地访问Web应用；通过配置黑名单，可以直接禁止特定来源的请求访问，实现对访问来源的精准管控。
1. 黑白名单规则查看与订阅
在管理界面左侧菜单中点击“黑白名单”选项，进入黑白名单管理页面。页面默认显示已有的黑白名单规则，包括系统自带的规则和用户自定义的规则。
系统自带的规则包括“搜索引擎爬虫白名单”“雷池社区恶意JA4指纹情报”“雷池社区恶意IP情报”等：
- 搜索引擎爬虫白名单：将常见的搜索引擎爬虫IP（如百度爬虫、谷歌爬虫等）加入白名单，允许这些爬虫正常爬取网站内容，确保网站在搜索引擎中的正常收录，该规则默认启用，今日命中次数会根据实际爬取情况更新。
- 雷池社区恶意JA4指纹情报：JA4指纹是一种用于识别网络流量特征的技术，该规则将雷池社区收集的具有恶意行为的JA4指纹加入黑名单，默认禁用，用户可根据实际需求启用，以拦截具有相应指纹特征的恶意请求。
- 雷池社区恶意IP情报：将雷池社区收集的恶意IP地址加入黑名单，默认启用，可自动拦截来自这些恶意IP的请求，保护Web应用安全。
此外，用户还可以点击“订阅在线规则”按钮，订阅雷池官方或第三方提供的最新黑白名单规则，及时获取最新的恶意IP、爬虫IP等情报，保持黑白名单规则的时效性和有效性。
2. 自定义黑白名单规则
除了系统自带和订阅的规则外，用户还可以根据自身需求添加自定义的黑白名单规则。例如，希望允许公司内部某一IP段的设备访问Web应用，或禁止某一特定IP访问，具体步骤如下：
-
点击“添加规则”按钮：在黑白名单管理页面中，点击“添加规则”按钮，进入添加规则配置界面。
-
选择规则类型：在“规则类型”选项中，选择“白名单”或“黑名单”。若需要允许特定来源访问，选择“白名单”；若需要禁止特定来源访问，选择“黑名单”。
-
设置规则名称：在“名称”输入框中，输入便于识别的规则名称，如“公司内部IP段白名单”“禁止恶意IP访问黑名单”等。
-
配置匹配目标与方式：
- 匹配目标：选择需要匹配的对象，包括源IP、应用、URL、URL路径、Host、GET参数、POST参数、攻击请求等。例如，若要针对特定IP进行管控，选择“源IP”；若要针对特定URL路径进行管控，选择“URL路径”。
- 匹配方式：根据匹配目标选择相应的匹配方式，如“等于”“包含”“前缀匹配”“后缀匹配”“IP段匹配”等。例如，针对源IP，若要匹配单个IP，选择“等于”；若要匹配某一IP段，选择“IP段匹配”。
- 匹配内容：根据匹配目标和匹配方式，输入具体的匹配内容。例如，选择“源IP”作为匹配目标、“IP段匹配”作为匹配方式时，输入“192.168.1.0/24”（表示192.168.1.0到192.168.1.255的IP段）；选择“URL路径”作为匹配目标、“包含”作为匹配方式时，输入“/admin”（表示包含/admin路径的URL）。
-
添加额外条件（可选）：若需要更精确的匹配，可以点击“添加一个OR条件”或“添加一个AND条件”，设置多个匹配条件。例如，设置“源IP等于192.168.66.100”且“应用等于Jellyfin媒体服务”，表示仅对该IP访问Jellyfin应用时生效。
-
提交规则：完成配置后，点击“提交”按钮，系统会保存该自定义规则，并将其添加到黑白名单规则列表中。用户可以在列表中查看规则的状态（启用/禁用）、类型、名称、详情、今日命中次数和更新时间等信息，并可以根据需要对规则进行编辑、启用/禁用、删除等操作。
（七）人机验证功能配置与查看
人机验证功能是SafeLine（雷池）区分正常用户和自动化程序的重要手段，通过智能检测技术，在必要时要求访问者完成人机验证，防止自动化程序发起恶意攻击，同时保障正常用户的访问体验。
1. 人机验证记录查看
在管理界面左侧菜单中点击“人机验证”选项，进入人机验证管理页面。该页面会显示触发过人机验证的请求记录，包括源IP、应用、触发次数、通过次数、持续时间、开始时间等信息。
例如，记录中显示源IP为192.168.66.165、应用为“Jellyfin媒体服务”、触发次数5次、通过次数1次、持续时间1分钟、开始时间为2025-08-14 22:52:35，表明该IP在访问Jellyfin应用时，共触发了5次人机验证，其中1次通过验证，其余4次未通过或未完成验证。通过这些记录，用户可以了解哪些IP可能存在自动化程序访问的嫌疑，为进一步的安全管控提供依据。
2. 人机验证方式切换
SafeLine（雷池）的人机验证支持云端验证和本地验证两种方式，用户可以根据实际需求进行切换。
- 云端验证：默认情况下，人机验证采用云端验证方式，借助雷池云端的智能检测能力，能够更精准地识别自动化程序，防护能力更强。但由于需要与云端进行交互，可能会存在一定的网络延迟。
- 本地验证：若用户对网络延迟较为敏感，或出于数据隐私考虑不希望与云端交互，可以切换为本地验证方式。本地验证在服务器本地完成检测，响应速度更快，但防护能力相对云端验证会有所减弱。
切换步骤如下：
- 在人机验证管理页面中，点击“人机验证配置”下的“切换为本地验证”按钮。
- 系统会弹出提示框，告知用户“切换到本地验证后将停用云端服务。本地验证响应更快但防护能力相对有限，建议根据安全要求和业务场景选择合适的验证方式”。
- 确认需要切换后，点击“保存”按钮，系统会完成验证方式的切换。切换后，人机验证将在本地进行，用户可以根据实际使用情况评估防护效果和响应速度，若不符合需求，可再次切换回云端验证。
（八）身份认证功能配置与验证
身份认证功能是SafeLine（雷池）为Web应用提供的额外安全保障，通过开启身份认证，要求访问者在访问Web应用前完成身份验证，只有通过验证的授权用户才能访问，有效防止未授权人员获取Web应用中的敏感信息。
1. 身份认证功能开启与配置
以Jellyfin媒体服务为例，开启身份认证功能的步骤如下：
-
进入“防护应用”管理页面，在应用列表中找到“Jellyfin媒体服务”，点击“详情”按钮，进入该应用的详细配置页面。
-
在应用详细配置页面中，找到“身份认证”选项，点击“开启”按钮，进入身份认证配置界面。
-
在身份认证配置界面中，用户可以根据需求选择不同的认证方式和配置选项：
- 登录方式：支持“账号密码”登录，用户可以创建专门的认证账号和密码，用于访问该应用；同时，还可以选择“强制启用二步验证（TOTP）”，开启后，用户在输入账号密码后，还需要输入通过TOTP工具（如Google Authenticator）生成的动态验证码才能完成认证，进一步提高安全性。
- 第三方登录方式：若企业内部有统一的认证系统（如LDAP、OAuth2.0等），可以点击“配置第三方登录方式”，对接第三方认证系统，实现统一身份认证，方便用户使用现有账号登录，同时便于企业进行账号管理。
- 仅针对特定条件启用身份认证：用户可以设置特定的触发条件，例如“仅当源IP为非公司内部IP段时启用身份认证”，实现更灵活的身份认证管控，既保障了外部访问的安全性，又不影响内部用户的便捷访问。
-
完成配置后，点击“保存”按钮，身份认证功能将立即生效。
2. 身份认证功能验证
身份认证功能开启后，验证其是否生效的步骤如下：
-
在浏览器中输入Jellyfin媒体服务的代理地址
http://192.168.66.20:3333，此时浏览器会自动跳转到身份认证登录界面，要求输入用户名和密码（若开启了二步验证，还需输入动态验证码）。 -
输入正确的账号密码（和动态验证码）后，点击“登录”按钮，若认证通过，将成功跳转到Jellyfin的首页，可正常访问应用；若输入错误的账号密码（或动态验证码），则会提示认证失败，无法进入应用界面。
-
查看身份认证记录：在管理界面左侧菜单中点击“身份认证”选项，进入身份认证记录页面。该页面会显示所有身份认证的尝试记录，包括应用名称、用户账号、认证结果（成功/失败）、源IP、登录方式、认证时间等信息。例如，记录中显示“应用：Jellyfin媒体服务、用户账号：jiaoml、认证结果：失败、源IP：192.168.66.165、登录方式：账号密码、时间：2025-08-14 23:06:28”，表明该用户使用账号“jiaoml”通过账号密码方式进行身份认证，但认证失败，用户可以通过这些记录及时发现异常的认证尝试，排查安全风险。
五、SafeLine（雷池）优势总结与社区支持
（一）核心优势总结
-
全面的防护能力：SafeLine（雷池）能够防御SQL注入、XSS、代码注入、命令注入等多种常见的Web攻击，同时具备速率限制、反机器人挑战、身份认证、动态防护等功能，从多个维度为Web应用提供安全保障，覆盖了Web应用在运行过程中可能面临的多种安全威胁，防护能力全面且深入。
-
灵活的部署与配置：支持Linux系统自动安装和Docker容器安装两种主要部署方式，满足不同技术背景用户的需求；在配置方面，提供了丰富的可自定义选项，如防护应用代理配置、CC防护规则设置、黑白名单规则自定义、身份认证方式选择等，用户可以根据Web应用的实际场景和安全需求，灵活调整配置，实现个性化的安全防护。
-
可靠的稳定性与性能：经过全球超过18万次安装、100万个网站防护和每天300亿次HTTP请求处理的实践检验，SafeLine（雷池）在生产环境中表现出了优异的稳定性，能够长时间稳定运行，保障Web应用的持续可用；同时，其高效的流量处理机制和优化的检测算法，在提供强大防护能力的同时，不会对Web应用的访问速度和性能造成明显影响，确保用户获得良好的访问体验。
-
开源免费与透明：作为一款开源Web应用防火墙，SafeLine（雷池）的源代码公开透明，用户可以查看源代码，了解其防护原理和实现机制，避免了闭源产品可能存在的安全隐患；同时，开源免费的特性降低了用户的使用成本，无论是个人开发者还是中小企业，都可以无需支付费用即可使用其全部核心功能，享受高质量的安全防护服务。
（二）社区支持与资源获取
SafeLine（雷池）拥有活跃的社区生态，为用户提供了丰富的支持资源和交流渠道，帮助用户更好地使用和部署SafeLine（雷池）。
-
官方文档：用户可以通过访问雷池官方网站（https://waf-ce.chaitin.cn/）获取详细的官方文档，文档中包含了SafeLine（雷池）的安装部署指南、功能配置说明、常见问题解答（FAQ）等内容，涵盖了从入门到进阶的各类知识，是用户学习和使用SafeLine（雷池）的重要参考资料。
-
技术交流群：官方建立了专门的技术交流群，用户可以通过添加群聊的方式，与其他使用SafeLine（雷池）的用户、技术开发者进行交流互动。在交流群中，用户可以分享使用经验、讨论遇到的问题、获取最新的技术动态，同时也能得到官方技术人员的及时解答和支持，解决在使用过程中遇到的困难。
-
Discord社区：为了方便全球用户交流，SafeLine（雷池）还在Discord平台建立了社区服务器，用户可以通过Discord加入社区，与来自世界各地的用户和开发者交流，获取国际化的支持和资源，了解SafeLine（雷池）在全球范围内的应用案例和最佳实践。
-
更新与升级：SafeLine（雷池）的开发团队会持续对产品进行更新和升级，修复已知漏洞、优化性能、新增功能，以适应不断变化的网络安全环境。用户可以通过官方渠道及时了解更新动态，按照更新指南完成版本升级，确保使用到最新、最安全的版本。
无论是在安装部署过程中遇到问题，还是在使用过程中需要优化防护策略，用户都可以通过上述社区支持渠道获取帮助，同时也能参与到社区建设中，为SafeLine（雷池）的发展贡献自己的力量，共同推动Web应用安全防护技术的进步。
六、总结与建议
在当前复杂严峻的网络安全环境下，Web应用面临的安全威胁日益多样化和复杂化，一款可靠的Web应用防火墙成为了保障Web应用安全的必要工具。SafeLine（雷池）作为一款开源、免费、功能强大的Web应用防火墙，凭借其全面的防护能力、灵活的部署配置、可靠的稳定性和活跃的社区支持，为服务器、NAS等设备上的Web应用提供了坚实的安全保障。
对于个人开发者而言，若你拥有个人博客、小型Web应用等，需要将其部署在服务器上并接入公网，SafeLine（雷池）能够帮助你有效抵御各类Web攻击，保护个人数据和应用安全，且无需支付任何费用，降低了安全防护的成本。
对于中小企业来说，在预算有限的情况下，SafeLine（雷池）可以作为企业Web应用的核心防护工具，为企业的业务系统、客户数据等重要资产提供安全保障，其灵活的配置功能能够满足企业不同业务场景的防护需求，同时开源透明的特性也让企业能够更放心地使用。
如果你正在为Web应用的安全问题担忧，或者需要为服务器、NAS设备寻找一款可靠的Web防火墙，不妨尝试部署和使用SafeLine（雷池）。通过本文介绍的安装部署方法、实战操作指南，你可以快速上手使用SafeLine（雷池），为你的Web应用筑起一道坚固的安全防线，让黑客无机可乘，保障Web应用的安全稳定运行。
